Cisco Adaptive Security Applianceのユーザー名列挙による情報漏えいの脆弱性（CSCvd47888）

high Nessus プラグイン ID 102499

Language:

概要

リモート装置に、ベンダーが提供したセキュリティパッチがありません。

説明

自己報告されたバージョンおよび構成によると、リモートデバイスで実行されているCisco Adaptive Security Appliance（ASA）ソフトウェアは、Cisco Adaptive Security Appliance（ASA）のWebベース管理インターフェイスの脆弱性の影響を受けます。これにより、認証されたリモートの攻撃者が、ユーザー名が有効化どうかを判別する可能性があります。この脆弱性は、LDAP（Lightweight Directory Access Protocol）とSSL接続プロファイルが一緒に設定されているときの両者の相互作用に起因します。攻撃者がこの脆弱性を悪用し、デバイスのIPアドレスに対してユーザー名列挙攻撃を実行する可能性があります。悪用により、攻撃者はユーザー名が有効かどうかを判別する可能性があります。

ソリューション

Ciscoセキュリティアドバイザリcisco-sa-20170802-asa2に記載されている該当の修正済みバージョンにアップグレードしてください。ASA管理者は、次のコマンドを使用してオンボードパスワード管理を無効にできます：tunnel-group DefaultWEBVPNGroup general-attributes no password-management